Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft mengungkapkan bahwa aktivitas kejahatan dunia maya semakin berkembang seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Dalam kampanye terbaru, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam operasi yang dianalisis Microsoft adalah penggunaan kerangka kerja ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Pada operasi yang diidentifikasi Microsoft, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Dukungan agen AI tersebut memungkinkan berbagai aktivitas berlangsung cepat. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Namun penting untuk dipahami, sebagian besar percobaan penargetan tidak berhasil. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Aplikasi multi-tenant mendukung layanan bagi beberapa pelanggan berdasarkan mekanisme otorisasi yang telah disetujui. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Dalam kasus ConnectWise, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Dalam aktivitas lanjutan, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah aplikasi yang terdampak dinonaktifkan. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menargetkan organisasi secara global. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Bidang industri yang terdampak penargetan menjangkau pemerintahan dan keuangan, termasuk lembaga hukum dan nonprofit. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu diarahkan kepada ratusan identitas pada delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Angka tersebut menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Sebagai langkah perlindungan, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Di samping pembatasan akses, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Metode pemeriksaan itu berguna untuk menemukan aplikasi yang mungkin terlewat. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Untuk meningkatkan perlindungan cloud, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup aktivitas identitas aplikasi, penambahan kredensial baru, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Temuan mengenai kampanye Storm-0940 menunjukkan bahwa kemajuan otomatisasi berbasis AI dapat memperbesar risiko tertentu dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Peristiwa serangan rantai pasok ini juga menegaskan pentingnya pengelolaan identitas aplikasi. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjalankan respons insiden yang terstruktur. Dari sudut pandang Anda, apakah pengembangan sistem pertahanan otomatis mampu meningkatkan perlindungan infrastruktur digital? Mari berbagi pandangan mengenai perkembangan ini tentang pentingnya perlindungan aplikasi cloud.
